Saltar al contenido
yararules.org
Menú

YARA · Cado Security (via Open-Source-YARA-rules)

CADOSECURITY_Whispergate_Stage_1

Detects first stage payload from WhisperGate

MalwareWhispergateCado Security (via Open-Source-YARA-rules)Apache License 2.0Compila con YARA-X (con avisos)
Autor
mmuir@cadosecurity.com
Fecha
2022-01-17
Modificada
2023-04-10
Puntuación / Calidad
75 / 72

Qué detecta esta regla

Detects first stage payload from WhisperGate

Familia de malware asociada: Whispergate.

Objetivos: PE de Windows.

Define 4 patrones (0 de texto, 4 hex, 0 regex).

YARA-X dice: warning[text_as_hex]: hex pattern could be written as text literal

Resumen generado a partir de los metadatos y la condición de la regla.

Código de la regla

Descargar .yar
whispergate-stage-1.yarApache License 2.0
rule CADOSECURITY_Whispergate_Stage_1 : FILE
{
	meta:
		description = "Detects first stage payload from WhisperGate"
		author = "mmuir@cadosecurity.com"
		id = "603aa1f9-749f-5cce-b49f-0005b7949e2c"
		date = "2022-01-17"
		modified = "2023-04-10"
		reference = "https://github.com/cado-security/DFIR_Resources_Whispergate"
		source_url = "https://github.com/mikesxrs/Open-Source-YARA-rules/blob/ec0056f767db98bf6d5fd63877ad51fb54d350e9/Cado Security/Whispergate_Stage_1.yar#L1-L16"
		license_url = "N/A"
		hash = "a196c6b8ffcb97ffb276d04f354696e2391311db3841ae16c8c9f56f36a38e92"
		logic_hash = "b8d8f2f56fe3a6f42699b7736386f9e8083fc728d06750f51064be1ff2f6620b"
		score = 75
		quality = 72
		tags = "FILE"
		license = "Apache License 2.0"

	strings:
		$a = { 31 41 56 4E 4D 36 38 67 6A 36 50 47 50 46 63 4A 75 66 74 4B 41 54 61 34 57 4C 6E 7A 67 38 66 70 66 76 }
		$b = { 38 42 45 44 43 34 31 31 30 31 32 41 33 33 42 41 33 34 46 34 39 31 33 30 44 30 46 31 38 36 39 39 33 43 36 41 33 32 44 41 44 38 39 37 36 46 36 41 35 44 38 32 43 31 45 44 32 33 30 35 34 43 30 35 37 45 43 45 44 35 34 39 36 46 36 35 }
		$c = { 24 31 30 6B 20 76 69 61 20 62 69 74 63 6F 69 6E 20 77 61 6C 6C 65 74 }
		$d = { 74 6F 78 20 49 44 }

	condition:
		uint16( 0 ) == 0x5A4D and all of them
}

Cadenas (4 patrones)

IdentificadorTipoValorModificadores
$ahex{ 31 41 56 4E 4D 36 38 67 6A 36 50 47 50 46 63 4A 75 66 74 4B 41 54 61 34 57 4C 6E 7A 67 38 66 70 66 76 }
$bhex{ 38 42 45 44 43 34 31 31 30 31 32 41 33 33 42 41 33 34 46 34 39 31 33 30 44 30 46 31 38 36 39 39 33 43 36 41 33 32 44 41 44 38 39 37 36 46 36 41 35 44 38 32 43 …
$chex{ 24 31 30 6B 20 76 69 61 20 62 69 74 63 6F 69 6E 20 77 61 6C 6C 65 74 }
$dhex{ 74 6F 78 20 49 44 }

Condición

uint16( 0 ) == 0x5A4D and all of them

En palabras sencillas (Heurística)

  • El archivo debe empezar por «MZ»: un ejecutable de Windows (PE).
  • Deben coincidir todos los patrones de la regla.

Prueba esta regla en tu navegador

Arrastra un archivo para escanearlo con esta regla usando YARA-X compilado a WebAssembly. No se sube nada.

Arrastra un archivo aquí o haz clic para elegirSe escanea en local con YARA-X. Archivos de hasta 200 MB.

Abrir en el editor

Referencias

Hashes de muestras

Hashes de las muestras que el autor lista en los metadatos de la regla (búscalos en tu plataforma de threat intelligence).

  • a196c6b8ffcb97ffb276d04f354696e2391311db3841ae16c8c9f56f36a38e92

Licencia y atribución

Autor: mmuir@cadosecurity.com

Repositorio de origen: Cado Security (via Open-Source-YARA-rules) @ ec0056f767

Licencia: Apache License 2.0 (indicada en los metadatos de la regla)

“Apache License 2.0”

Regla original

Obtenida a través de YARA Forge 20260927, que añade a los nombres el prefijo de la fuente y campos meta normalizados.

Id de la regla: 603aa1f9-749f-5cce-b49f-0005b7949e2c

Etiquetas:FILE

Reglas relacionadas

Más reglas de Whispergate